# Biztonsági rés az önkormányzat weboldalán: útmutató az igazgatásnak

> PHP2Shell és önkormányzat: így védik az igazgatási szervek a TYPO3-weboldalt és az űrlapokat, tisztázzák a felelősöket és tájékoztatják a lakosságot.

Forrás: https://phpsos.de/hu/branchen/kommunen-verwaltung/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** Egy önkormányzat weboldalán lévő biztonsági rés nyilvánosságot érintő incidens. Tisztázza, ki üzemelteti a szervert, igazoltassa a PHP-javítást és az újraindítást, és tartson készenlétben egy vészoldalt arra az esetre, ha a megjelenést átmenetileg le kell kapcsolni a hálózatról. A lakosság és a sajtó felé irányuló kommunikációt még azelőtt egyeztetni kell, hogy kérdések érkeznének.

## Milyen PHP-rendszereket üzemeltetnek tipikusan az önkormányzatok

Sok önkormányzati weboldal [TYPO3](https://phpsos.de/hu/plattformen/typo3/)-on fut, emellett más PHP-rendszereken is. A fő megjelenés körül további alkalmazások keletkeznek: online űrlapok kérelmekhez és bejelentkezésekhez, hibabejelentők, rendezvénynaptárak, lakossági részvétel, álláshirdetési portálok, óvodai előjegyzés, turisztikai oldalak, könyvtári katalógusok, valamint egyes intézmények, például a zeneiskola vagy a közművek weboldalai.

Ezek egy részét maga az önkormányzat üzemelteti, másokat egy önkormányzati adatközpont, egy önkormányzati társulás vagy egy szakrendszer-gyártó. Aki le akar zárni egy PHP-rést, annak először tudnia kell, kinek a szerverén melyik alkalmazás fut.

A kisebb településeknek gyakran nincs saját IT-részlegük. Ott a belső igazgatási osztály (Hauptamt) egy munkatársa mellékesen gondozza a megjelenést, a technika egy ügynökségnél van, a szerződések pedig olyan időből származnak, amikor senki sem gondolt a programozási nyelv kritikus réseire. A nagyobb városoknak fordított a gondjuk: annyi hivatali, projekt- és intézményi weboldaluk van, hogy alig valaki ismeri a teljes listát.

## Mi forog kockán az önkormányzati weboldalakon

Az űrlapokban és portálokon polgárok adatai vannak: lakcímek, születési adatok, gyermekekre vonatkozó adatok az óvodai és iskolai beiratkozásoknál, fotók és helyszínek a hibabejelentéseknél, jelentkezések. A közfeladatot ellátó szervekre a GDPR és a tartományi adatvédelmi törvény vonatkozik, illetékes általában a tartomány adatvédelmi felügyelete.

Legalább ennyire súlyos az integritás: egy önkormányzat weboldala hivatalos forrás. A manipulált tartalmak, hamisított közlemények vagy a város nevében csaló oldalakra irányító átirányítások a technikai kárnál messze nagyobb mértékben ássák alá a bizalmat.

Az önkormányzati domainek bizalmat élveznek a lakosság és a keresőmotorok körében. Éppen ez teszi őket vonzóvá a támadóknak: spam feladójaként, csalóoldalak tárolójaként vagy hamis hírek platformjaként, például választásokról, viharokról vagy díjakról.

## Önkormányzat és weboldal-biztonsági rés: ki mit dönt?

| Szerep | Tipikus feladat az incidensben |
|---|---|
| Önkormányzati adatközpont vagy IT-szolgáltató | szerver, PHP-csomagok, újraindítás, hálózati leválasztás |
| Belső igazgatási osztály vagy IT-koordináció | átfogó irányítás, megbízás, vészhelyzeti terv |
| Sajtóosztály | a lakosság és a média tájékoztatása |
| Hatósági adatvédelmi felelős | a bejelentési kötelezettség értékelése |
| Webügynökség | CMS, bővítmények, tartalmak |

A rés gyakran az adatközpont és az ügynökség között keletkezik: az adatközpont üzemelteti a szervert, az ügynökség gondozza a TYPO3-at, és mindkét fél azt feltételezi, hogy a másik foglalkozik a PHP-val. A TYPO3 frissítése nem zárja le a PHP2Shell-t.

> **Azonnal cselekedjen:**
> A BSI a helyzetet a 3. riasztási szinttel / narancs jelzéssel értékelte, és azonnali frissítést javasol. Ha egy önkormányzati webszervert nem lehet azonnal javítani, kapcsolja le átmenetileg a hálózatról, és kapcsoljon be egy statikus vészoldalt.

## Az első órák az igazgatásban

1. Listázza fel az összes webes elérésű megjelenést és szakalkalmazást, az intézményeket és a turizmust is beleértve.
2. Az adott üzemeltetőnél igazoltassa írásban: a PHP 8.5.12, 8.4.27, 8.3.36 vagy 8.2.35 verzión áll, vagy backportot telepítettek, és minden folyamat újraindult.
3. A nem igazolt rendszereket kapcsolja le a hálózatról, vagy a javításig védje [virtuális javítással](https://phpsos.de/hu/leistungen/waf-virtuelles-patching/). A Cloudflare arra hívja fel a figyelmet, hogy a szabályok önmagukban a kérésadatok alapján nem elegendők; ez áthidalás, nem pótlék.
4. Mentse a naplókat 2026. 10. 20-tól.
5. Tájékoztassa a sajtóosztályt és az adatvédelmi felelőst, és egyeztessen tárgyszerű nyelvi szabályozást. Ehhez a [válságkommunikációról](https://phpsos.de/hu/compliance/krisenkommunikation/) szóló oldal nyújt segítséget.

Hogy a BSI részleteiben mit javasol, azt a [BSI-ajánlások a PHP2Shell-hez](https://phpsos.de/hu/compliance/bsi-empfehlungen/) oldal foglalja össze. A közbeszerzéssel és a sürgősségi megbízással kapcsolatos kérdéseket a belső szabályai szerint tisztázza.

## Megelőzés: vészoldal, leltár és helyettesítés

A következő kritikus rés biztosan eljön. Három előkészület ilyenkor órákat takarít meg: egy kész statikus vészoldal telefonszámokkal, nyitva tartással és a sürgős ügyekre vonatkozó tudnivalókkal, amely PHP nélkül is kiszolgálható. Egy gondozott leltár az összes webalkalmazásról, üzemeltetővel, kapcsolattartóval és szerződéses alappal. És egy helyettesítési szabályozás, hogy az olyan döntéseket, mint a megjelenés lekapcsolása, este és hétvégén is meg lehessen hozni.

Ezek a pontok az igazgatás [IT-vészhelyzeti tervébe](https://phpsos.de/hu/compliance/notfallplan-erstellen/) tartoznak. Az üzemi vállalkozásoknak, közműveknek és saját weboldalú intézményeknek kifejezetten szerepelniük kell benne, mert különben hiányoznak a leltárfelvételből.

## Hogyan segít konkrétan a PHP SOS?

- Támogatjuk az IT-koordinációját a leltározásban, és az adatközponttal, a gyártókkal és az ügynökséggel tisztázzuk, ki melyik rendszert javítja.
- Ahol Ön maga üzemeltet, a [PHP javítási szolgáltatás](https://phpsos.de/hu/leistungen/php-patch-service/) keretében átvesszük a frissítést, az újraindítást és az írásos igazolást.
- Feltörés gyanúja esetén nyomokat mentünk, és a tartalmakat manipulációra ellenőrizzük, mielőtt a megjelenés újra online lenne.
- A folyamatot úgy dokumentáljuk, hogy az adatvédelmi felelős, az igazgatás vezetése és a számvizsgálat követni tudja.


## Gyakori kérdések

**Egyszerűen lekapcsolhatjuk a település weboldalát?**  
A BSI (a német szövetségi információbiztonsági hivatal) azt javasolja, hogy a webszervert átmenetileg le kell kapcsolni a hálózatról, ha a frissítés nem azonnal lehetséges. Az önkormányzatoknak érdemes statikus vészoldalt használniuk a legfontosabb elérhetőségekkel. Hogy ki dönthet erről belsőleg, azt a vészhelyzeti tervben kell rögzíteni.

**Érinti a testületi információs rendszert?**  
Ez a technikától és az üzemeltetéstől függ. A testületi információs rendszereket és az online szolgáltatásokat gyakran szakrendszer-gyártók vagy önkormányzati adatközpontok üzemeltetik. Kérdezzen rá náluk konkrétan a PHP használatára, a javítási állapotra és az újraindításra.

**Melyik adatvédelmi hatóság illetékes az önkormányzatoknál?**  
A tartományok és önkormányzatok közfeladatot ellátó szerveinél általában az adott tartomány adatvédelmi felügyelete az illetékes. Emellett a tartományi adatvédelmi törvények érvényesek. A hatósági adatvédelmi felelőse ismeri a bejelentési útvonalakat.

## Források

- [BSI: figyelmeztetések és ajánlások](https://www.bsi.bund.de/)
- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [php.net: biztonsági közlemények](https://www.php.net/)
- [TYPO3](https://typo3.org/)